Het voorkomen van online betalingsfraude is niet één controle. Het is een keten ervan, verspreid over drie momenten: vóór de transactie, tijdens de transactie en nadat de chargeback weken later binnenkomt. De meeste handelaren hebben iets in elk venster en gaten ertussen, en fraudeurs leven in de gaten. Deze gids loopt door de belangrijkste soorten online betalingsfraude, de preventielagen die elk ervan stoppen en waar een signaalbron op browserniveau past in een stack die je waarschijnlijk al draait.
De invalshoek die het meest telt: een frauduleuze transactie en een legitieme zien er identiek uit in je database. Het kaartnummer werd gevalideerd, het adres kwam overeen, de CVV klopte en de bestelling werd verzonden. Het verschil komt pas later boven, wanneer de echte kaarthouder de transactie betwist. Effectieve preventie draait om het vastleggen van de signalen die de twee onderscheiden terwijl de sessie nog open is, want zodra die sluit zijn die signalen weg.
Wat telt als online betalingsfraude
Online betalingsfraude is elke transactie waarbij de betaler niet gemachtigd is om het betaalmiddel te gebruiken, of waarbij een legitieme aankoop later ten onrechte wordt betwist. Het omvat gestolen kaarten, geautomatiseerd card testing, accountovername en chargeback-misbruik. Het omvat geen echte verwerkingsfouten of legitieme retouren, hoewel die in dezelfde geschillen-pijplijn verstrikt raken.
De reden dat het moeilijk te stoppen is met alleen transactiegegevens, is dat de payload die je payment service provider (PSP) ontvangt dun is. Die bevat het kaartnummer, het bedrag en het adres, maar niet het apparaat dat de transactie indiende, de manier waarop het formulier werd ingevuld of of de verbinding achter een proxy verborgen zat. Dat leeft in de browser tijdens de sessie en bereikt de PSP nooit. Dat is het bewijs-gat dat de rest van deze gids wil dichten.
De vier belangrijkste soorten online betalingsfraude
Card testing (carding)
Card testing is de verkenningsfase. Aanvallers die een partij gestolen kaartnummers hebben gekocht, willen weten welke nog werken, dus voeren ze kleine afschrijvingen uit, vaak een dollar of een donatie, over honderden nummers om de levende kaarten van de dode te scheiden. De gevalideerde kaarten worden daarna gebruikt voor echte aankopen of doorverkocht tegen een hogere prijs.
Card testing is bijna altijd geautomatiseerd. Niemand typt duizend kaartnummers met de hand in. Die automatisering is de zwakte: de aanval is snel, repetitief en machinegestuurd op een manier waarop een menselijke checkout dat nooit is. Snelheidsregels vangen de grove versie, maar geavanceerde operators spreiden pogingen om onder de drempels te blijven. De card-testing-use-case behandelt het detectiepatroon uitgebreid.
Fraude met gestolen kaarten (ongeautoriseerde transactie)
Zodra een kaart is gevalideerd, wordt hij gebruikt. Fraude met gestolen kaarten is het klassieke geval: iemand koopt goederen met een kaart die niet van hem is, laat ze bezorgen op een doorstuuradres of bij een katvanger, en de echte kaarthouder ontdekt het op zijn afschrift. Dit is echte fraude door een derde, en het is wat de meeste mensen zich voorstellen bij "betalingsfraude".
Het signaal dat hier helpt is apparaatcontinuïteit. Een kaart die wordt gebruikt vanaf een apparaat dat nooit aan die kaarthouder is gekoppeld, of vanaf een apparaat dat al aan eerdere fraude is gelinkt, is een wezenlijk ander risico dan dezelfde kaart gebruikt op de bekende telefoon van de kaarthouder. Transactiegegevens kunnen het apparaat niet zien. Een fingerprint op browserniveau wel.
Chargebacks en friendly fraud
Niet alle chargebacks zijn crimineel. Een groot deel is "friendly fraud", waarbij een echte kaarthouder een afschrijving betwist die hij daadwerkelijk deed, soms per ongeluk (hij herkende de handelaarsomschrijving niet) en soms opzettelijk (hij wil de goederen én de terugbetaling). De schattingen variëren per bron en sector, maar branche-enquêtes plaatsen friendly fraud consistent bij de meerderheid van de e-commerce-chargebacks in plaats van bij een minderheid.
Friendly fraud is een preventieprobleem dat je na de transactie wint, in het geschil. De handelaar die kan aantonen dat het eigen apparaat van de kaarthouder aanwezig was, en dat de sessie zich als menselijk gedroeg, heeft bewijs dat een "ik heb deze aankoop nooit gedaan"-claim onwaar is. Dat bewijs moet tijdens de checkout worden vastgelegd en geëxporteerd in een formaat dat de kaartnetwerken accepteren. cside's chargeback-bewijsexport is precies hiervoor gebouwd.
Accountovername bij de checkout
Accountovername (ATO) bevindt zich op het snijvlak van betalingsfraude en identiteitsfraude. In plaats van een rauwe gestolen kaart te gebruiken, neemt de aanvaller het account van een legitieme klant over, meestal via credential stuffing, en betaalt met de reeds opgeslagen kaarten. Dit is lastiger te vangen omdat het account, het adres en het betaalmiddel allemaal kloppen. Het enige wat mis is, is wie er achter het toetsenbord zit.
Apparaat-fingerprinting is hier het belangrijkste pre-authenticatiesignaal: een login of checkout vanaf een apparaat dat dit account nooit heeft aangeraakt is de aanwijzing, zelfs als alle inloggegevens correct zijn. De accountovername-use-case gaat dieper in op het credential-stuffing-patroon dat het voedt.
De lagen van het voorkomen van online betalingsfraude
Geen enkele tool dekt de hele reis. Een werkende stack in 2026 stapelt er meerdere, elk sluit een ander venster.
- Controles van kaartnetwerken en uitgevers. 3-D Secure (3DS2), CVV- en AVS-controles en monitoring op netwerkniveau zijn de basis. Ze verschuiven een deel van de aansprakelijkheid en vangen voor de hand liggende fraude, maar ze voegen wrijving toe en kunnen de browsersessie niet zien.
- PSP-eigen fraudescoring. Tools als Stripe Radar of Adyen RevenueProtect scoren de transactie met machine learning. Ze zijn echt nuttig en meestal gratis bij laag volume, maar ze zien alleen wat de PSP ziet: browsersignalen vóór autorisatie en apparaathergebruik over PSP's heen vallen buiten hun venster.
- Een scoring- of regels-engine. Een specifiek platform verwerkt de transactiehistorie en geeft een beslissing van goedkeuren/blokkeren/uitdagen terug. Dit is je beslislaag, en die is slechts zo goed als de signalen die je hem voedt.
- Een signaalbron op browserniveau. Dit is de laag die de meeste stacks missen. Die draait op de betaalpagina en legt de apparaat-, gedrags- en netwerksignalen vast die het transactieverslag nooit draagt: apparaat-fingerprint, automatiserings- en AI-agent-markeringen, VPN- en proxystatus en sessiegedrag.
- Automatisering van chargeback-geschillen. Achteraf verpakt die het bewijs in de vereiste formaten van de kaartnetwerken en dient de reactie in. Zonder goed vastgelegd bewijs automatiseert die alleen het verliezen.
Het punt van lagen is dat detectie vóór de transactie je fraude- en geschillenpercentage verlaagt, terwijl bewijs na de transactie geld terughaalt dat je anders zou verliezen. Alleen investeren in geschillenautomatisering wint inkomsten terug die je al kwijt bent; investeren in de browserlaag stopt het verlies eerder en produceert het bewijs dat de geschillenlaag nodig heeft.
Waar cside past in een stack voor het voorkomen van betalingsfraude
cside is de signaalbron op browserniveau uit die lijst. Het wordt uitgerold als één first-party JavaScript-snippet geladen vanaf je eigen domein, dus er is geen third-party verzameldomein dat een filterlijst of een aanvaller kan blokkeren. Het staat niet vóór je verkeer en is geen proxy; het leest de checkoutsessie en geeft een verdict terug. Drie delen van het betaalprobleem zijn waar het het meeste werk doet.
Device-intelligence bij de checkout. cside bouwt een apparaat-fingerprint uit meer dan 250 browser-, apparaat- en netwerksignalen per sessie, en houdt die identiteit stabiel over incognitomodus, VPN-verbindingen en het wissen van cookies. Dat maakt apparaatcontinuïteit bruikbaar: je kunt een kaart die op het bekende apparaat van de eigenaar wordt gebruikt onderscheiden van dezelfde kaart op een apparaat dat je nog nooit hebt gezien. De device-intelligence-oplossing legt uit hoe de fingerprint wordt opgebouwd.
Detectie van card testing en automatisering. Omdat de snippet ook gedragskanalen leest, draait cside aparte modellen voor cursorbeweging, typcadans en breder sessiegedrag, en combineert vervolgens hun verdicts. Het markeert geautomatiseerde en AI-agent-sessies, inclusief automatiseringsframeworks als Playwright, Puppeteer en Selenium en agentische browsers als OpenAI Operator en Claude for Chrome. Een carding-run aangestuurd door een daarvan is zichtbaar, zelfs wanneer elke individuele afschrijving te klein is om een snelheidsregel te activeren.
Chargeback-bewijs. Dezelfde fingerprint-ID indexeert cside's chargeback-bewijsexport, die het bewijs op apparaatniveau verpakt in Visa's Compelling Evidence 3.0-formaat voor geschilreacties. Wanneer een friendly-fraud-geschil binnenkomt, wordt het bewijs dat de transactie scoorde het bewijs dat het geschil wint, in plaats van weg te rotten in een logbestand.
Op mobiel draait cside dezelfde engine via native iOS- en Android-SDK's, momenteel in bèta (early access), die dezelfde signaalset vastleggen als de webclient plus signalen die alleen een app kan zien. Neem contact op met het team als mobiele dekking binnen scope valt.
Twee dingen die cside bewust niet is: het is geen beslisplatform (koppel het aan je scoring- of regels-engine, die zijn verdict als extra kenmerken gebruikt), en het voorkomt niet dat een kaart in de eerste plaats wordt gestolen. Wat het wel doet, is het bewijs-gat dichten tussen de checkoutsessie en alles wat stroomafwaarts komt.
Je preventieplan opbouwen
Als je een stack voor het voorkomen van online betalingsfraude opbouwt of aanscherpt, werk dan in deze volgorde:
- Dek de basis. Bevestig dat 3DS2, CVV en AVS aanstaan en dat de PSP-eigen fraudescoring is ingeschakeld en afgestemd. Dit is basisniveau en meestal gratis.
- Leg browserbewijs vast bij de checkout. Voeg de laag toe waarvoor je scoringplatform en PSP blind zijn, zodat de apparaat-, automatiserings-, VPN- en gedragssignalen tijdens de sessie worden vastgelegd, niet achteraf gereconstrueerd.
- Voed de signalen in je beslislaag. Vervang je scoring-engine niet; geef de browsersignalen als extra kenmerken door zodat goedkeuren/blokkeren-beslissingen verbeteren.
- Automatiseer CE 3.0-bewijs voor geschillen. Wanneer een chargeback afgaat, moeten de signalen die de transactie scoorden rechtstreeks in de geschilreactie stromen in het formaat dat de kaartnetwerken accepteren.
Voor een diepere blik op het bewijs-gat bij de checkout en waarom sessiegegevens live moeten worden vastgelegd, zie betalingsfraudedetectie: het bewijs-gat bij de checkout. Als je tussen leveranciers kiest, rangschikt de beste software voor betalingsfraudedetectie in 2026 de platforms en laat het zien waar een browser-laag-bron samengaat met een scoringplatform.
